Wat de AI Act is
De EU AI Act is de Europese verordening die regels stelt aan het ontwikkelen en gebruiken van kunstmatige intelligentie. De wet is op 1 augustus 2024 in werking getreden en geldt rechtstreeks in alle lidstaten, zonder omzetting in nationale wetgeving. Het uitgangspunt is risicogebaseerd: hoe groter de kans op schade voor mensen, hoe strenger de eisen.
De verordening richt zich niet alleen op techbedrijven. Ze legt verplichtingen op aan iedereen in de keten: wie een systeem ontwikkelt, wie het importeert of distribueert, en wie het onder eigen verantwoordelijkheid gebruikt. Die laatste groep is verreweg het grootst en bestaat voor een groot deel uit mkb-bedrijven.
Vier risicoklassen
De wet deelt AI-toepassingen in op basis van wat ze doen en voor wie, niet op basis van de techniek erachter. Dezelfde taalmodellen kunnen in de ene toepassing minimaal risico opleveren en in de andere hoog risico.
- 01Onaanvaardbaar risico: verboden. Manipulatie die gedrag wezenlijk verstoort, social scoring, emotieherkenning op de werkvloer, ongericht verzamelen van gezichtsbeelden. Artikel 5.
- 02Hoog risico: zware eisen. AI bij werving en selectie, kredietbeoordeling, toegang tot onderwijs, kritieke infrastructuur en AI in gereguleerde producten zoals medische hulpmiddelen. Bijlagen I en III.
- 03Beperkt risico: transparantie. Chatbots, gegenereerde beelden, audio en tekst, deepfakes. Gebruikers moeten weten dat ze met AI te maken hebben. Artikel 50.
- 04Minimaal risico: geen specifieke eisen. Spamfilters, tekstsuggesties, samenvattingen van interne documenten. Wel geldt altijd de plicht tot AI-geletterdheid.
Aanbieder of gebruiksverantwoordelijke
De aanbieder ontwikkelt een AI-systeem of laat het ontwikkelen en brengt het onder eigen naam op de markt. De gebruiksverantwoordelijke (in de Engelse tekst: deployer) zet een systeem in onder eigen verantwoordelijkheid, voor beroepsmatig gebruik. Wie Copilot, ChatGPT of een AI-functie in een boekhoudpakket gebruikt, is gebruiksverantwoordelijke.
Het onderscheid bepaalt welke verplichtingen u heeft. Aanbieders van hoog-risicosystemen dragen de zwaarste last: risicobeheer, technische documentatie, conformiteitsbeoordeling. Gebruiksverantwoordelijken hebben lichtere, maar eigen plichten: gebruik volgens de instructies, menselijk toezicht, logbestanden en informeren van medewerkers. Let op: wie een bestaand systeem onder eigen merknaam aanbiedt of het beoogde doel wezenlijk verandert, wordt zelf aanbieder.
Welke data gelden
De verordening treedt in fases in werking. De data hieronder zijn inclusief het uitstel door de Digital Omnibus.
- Inwerkingtreding.
- Verboden praktijken (artikel 5) en plicht tot AI-geletterdheid (artikel 4).
- Regels voor general-purpose AI-modellen, aanwijzing van toezichthouders, sanctieregime.
- Transparantieverplichtingen (artikel 50).
- Hoog-risicoregels voor systemen uit bijlage III, na uitstel door de Digital Omnibus.
- Hoog-risico AI in gereguleerde producten (bijlage I).
Let op. De hoog-risicotermijnen zijn met de Digital Omnibus (Verordening (EU) 2026/1744, van kracht sinds 27 juli 2026) verschoven naar 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I). De plichten rond AI-geletterdheid en transparantie gelden al en staan los van dit uitstel.
Vijf stappen voor het mkb
Voor een organisatie die geen hoog-risicosystemen bouwt of inzet, is de AI Act overzichtelijk. Deze vijf stappen dekken de verplichtingen die voor bijna iedereen gelden, en ze zijn tegelijk de basis van goed AI-gebruik.
- 01Inventariseer. Welke AI-tools worden gebruikt, door wie, met welke gegevens? Vergeet de AI-functies in bestaande software niet. Bepaal per tool de risicoklasse.
- 02Stel een AI-beleid op. Eén A4: doel, toegestane tools, welke data nooit in een publieke chatbot, wie beslist, menselijke controle op output, bijscholing.
- 03Train en registreer. Artikel 4 vraagt maatregelen voor AI-geletterdheid. Leg vast wie welke training heeft gevolgd. Lees hoe u dat aantoonbaar maakt.
- 04Regel transparantie. Zet u een chatbot in voor klanten, meld dan dat het AI is. Publiceert u gegenereerde beelden of audio die echt kunnen lijken, markeer ze.
- 05Wijs een eigenaar aan. Iemand die nieuwe tools beoordeelt, het register bijhoudt en de wetgeving volgt. Gebruikt u toch een hoog-risicosysteem, dan komen daar de plichten uit artikel 26 bij. Zie de checklist.
Boetes
Artikel 99 kent drie niveaus. Voor verboden praktijken: tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, het hoogste van de twee. Voor de meeste andere overtredingen, waaronder de plichten van gebruiksverantwoordelijken en de transparantieregels: tot 15 miljoen euro of 3 procent. Voor onjuiste of onvolledige informatie aan toezichthouders: tot 7,5 miljoen euro of 1 procent.
Voor mkb-bedrijven en start-ups geldt bij elk niveau het laagste van de twee bedragen. Toezichthouders wegen bovendien de aard, ernst en duur van de overtreding mee, en of de organisatie zelf maatregelen heeft genomen. Een aantoonbaar AI-beleid en trainingsregister zijn daarbij uw eerste verdediging.
Veelgestelde vragen
Geldt de AI Act ook voor een klein bedrijf dat alleen ChatGPT of Copilot gebruikt?
Ja. De AI Act kent geen ondergrens naar bedrijfsgrootte. Wie AI-systemen onder eigen verantwoordelijkheid gebruikt, is gebruiksverantwoordelijke en valt onder de plicht tot AI-geletterdheid (artikel 4) en, afhankelijk van de toepassing, onder de transparantieverplichtingen (artikel 50). De zware verplichtingen gelden alleen voor hoog-risicosystemen.
Wat is het verschil tussen aanbieder en gebruiksverantwoordelijke?
De aanbieder ontwikkelt een AI-systeem of laat het ontwikkelen en brengt het onder eigen naam op de markt. De gebruiksverantwoordelijke zet een AI-systeem in onder eigen verantwoordelijkheid, voor beroepsmatig gebruik. De meeste mkb-bedrijven zijn gebruiksverantwoordelijke. Wie een bestaand systeem onder eigen naam aanbiedt of het doel wezenlijk verandert, kan alsnog aanbieder worden.
Hoe hoog zijn de boetes onder de AI Act?
Voor verboden praktijken tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. Voor de meeste andere overtredingen tot 15 miljoen euro of 3 procent. Voor onjuiste informatie aan toezichthouders tot 7,5 miljoen euro of 1 procent. Voor mkb-bedrijven en start-ups geldt het laagste van de twee bedragen.
Wanneer gelden de regels voor hoog-risico AI?
Door de Digital Omnibus (Verordening (EU) 2026/1744, van kracht sinds 27 juli 2026) gelden ze vanaf 2 december 2027 voor systemen uit bijlage III en vanaf 2 augustus 2028 voor AI in gereguleerde producten uit bijlage I. De plichten rond AI-geletterdheid en transparantie gelden al en staan los van dit uitstel.